防禦XSS攻擊
1. 設定cookie為HttpOnly
在一般的情況下，cookie是可以透過javascript來存取的(document.cookie)，如同上一篇所說的，有可能會有XSS攻擊的風險。
將cookie設定為HttpOnly，表示這個cookie無法透過js存取，document.cookie裡面就不會顯示出HttpOnly的cookie了。
將cookie設定為HttpOnly，表示這個cookie無法透過js存取，document.cookie裡面就不會顯示出HttpOnly的cookie了。
因此我們在server端設定session的時候，應該要把http only打開。
如下程式碼，設定session沒有打開http only:
javascript透過document.cookie可以拿到session id。
接著我們改一下程式:
可以看到PHPSESSID這個cookie被設定為HttpOnly了，無法再利用document.cookie來取得。
接著我們再改一下程式:
這次多設定myName=Vic的cookie上去，可以發現document.cookie沒有出現PHPSESSID但是有出現myName，因為myName沒有設定為HttpOnly。
接著再改一下程式:
2. 對user輸入內容encode
不論是前端或後端，user輸入的任何內容都是不可信的，必須通過檢查，不過前端是有被竄改code的可能的，因此若前端沒檢查，至少後端一定要檢查。
以php為例，可以使用htmlspecialchars函數來將HTML編碼，這樣就能避免瀏覽器直接執行惡意程式碼，以下直接從程式來看:
這邊修改一下上一篇: Cross-Site Scripting 攻擊的程式碼，在塞入資料庫之前做encode:
其中ENT_QUOTES表示雙引號跟單引號都要轉換!
按下Send送出後，可以看到塞到資料庫的是有經過編碼的，<>"這些關鍵字都被encode了，最後query出來在瀏覽器看到的是瀏覽器經過decode後的結果，因此就不會被瀏覽器當作是程式碼執行了。
按下Send送出後，可以看到塞到資料庫的是有經過編碼的，<>"這些關鍵字都被encode了，最後query出來在瀏覽器看到的是瀏覽器經過decode後的結果，因此就不會被瀏覽器當作是程式碼執行了。
3. 假如是用php的話，關閉phpinfo頁面
phpinfo裡面包含了cookie資訊，如果沒有關閉這個頁面，就會給駭客有機會拿到cookie!
本筆記參考:
1. https://devco.re/blog/2014/06/11/setcookie-httponly-security-issues-of-http-headers-3/
2. https://autoposter.pixnet.net/blog/post/116102978
3. https://kknews.cc/zh-tw/code/v336nqq.html
4. https://www.webtech.tw/info.php?tid=PHP_htmlspecialchars_%E5%87%BD%E6%95%B8%E5%8A%9F%E8%83%BD%E8%88%87%E7%94%A8%E6%B3%95
1. https://devco.re/blog/2014/06/11/setcookie-httponly-security-issues-of-http-headers-3/
2. https://autoposter.pixnet.net/blog/post/116102978
3. https://kknews.cc/zh-tw/code/v336nqq.html
4. https://www.webtech.tw/info.php?tid=PHP_htmlspecialchars_%E5%87%BD%E6%95%B8%E5%8A%9F%E8%83%BD%E8%88%87%E7%94%A8%E6%B3%95
即將進入廣告，捲動後可繼續閱讀
為什麼會看到廣告
21會員
161內容數
留言0
查看全部
你可能也想看
Google News 追蹤
嘿，大家新年快樂~ 新年大家都在做什麼呢？
跨年夜的我趕工製作某個外包設計案，在工作告一段落時趕上倒數。
然後和兩個小孩過了一個忙亂的元旦。在深夜時刻，看到朋友傳來的解籤網站，興致勃勃熬夜體驗了一下，覺得非常好玩，或許有人玩過了，但還是想寫上來分享紀錄一下~
今天寫文章來學習什麼是「第一方 Cookies」。
## 1. Cookie在LinkedIn廣告中的角色
根據Linkedin的文章[1]，
Cookie 是被設置在網站訪問者的 Web瀏覽器上，
可以幫助 Linkedin 確定廣告被展示給哪些成員，
是衡量廣告效果，改
(1) 收集用戶名單，例如 Email 和手機，未來可做廣告受眾再行銷，例如 FB 廣告、GDN 廣告、Email發送。
(2) 在網站追蹤中，用 GTM 實施「增強型轉換」，讓每一個轉換數據發送時都帶有第一方數據，能讓轉換追蹤更精準，減少受 Cookie 政策的影響。
(3)
在今天的數字世界中，網站安全性是極為重要的議題。隨著越來越多的網站選擇採用HTTPS協議加密數據傳輸，但這並不意味著它是絕對安全的。事實上，HTTPS本身也存在著一些安全隱患，這些隱患可能會影響網站的安全性和用戶的數據隱私。
1. SSL/TLS 憑證漏洞
HTTPS的加密基於SSL/TLS
戴夫寇爾研究團隊發現PHP在Windows系統上存在遠端程式碼執行漏洞，影響多個PHP版本，包括XAMPP預設安裝環境。漏洞源於字元編碼轉換的問題，允許攻擊者在遠端伺服器上執行任意程式碼。建議使用者立即升級至最新PHP版本，或採取臨時緩解措施。
在瀏覽器環境中有許多的儲存空間，想要查看這些空間的話，可以透過「chrome > Dev Tools > Application > Storage」即能進行查看。
瀏覽器內存空間的差異不僅常常被拿來被當作面試考題，在實務開發中更扮演舉足輕重的角色，今天就想透過這系列的文章深度了解這些瀏覽器內存⋯
前言
這篇文章分享cookie、sessionStorage、localStorage、session的差異，因為前後端溝通常用的就這幾個，我比較常用的是cookie或session，但也是有可能會用到sessionStorage或localStorage的時候，因此想說這邊做個紀錄比較他們的差別
在開發前後端分離架構時，使用兩個不同網域所遇到跨域請求問題。特別是在POST請求時行為差異大，揭示了「簡單請求」與「預檢請求」的關鍵差異。簡單請求不需預檢，但application/json會觸發預檢請求，需透過特定設定解決。分享這篇文章希望幫助開發者有效處理跨域問題。
描述我所瞭解的 Web 攻擊技術
何謂網路攻擊？
駭客透過各種系統漏洞或惡意程式，搭配許多技術和工具進行攻擊。目標是要在企業或個人電腦網路中損害、取得控制權或存取重要的文件和系統。
例如：
XSS（Cross-Site Scripting，跨站腳本攻擊/跨網站指令碼）：指網路罪犯透過存在安全
發送表單用get跟post看起來好像都無所謂，然而事實並非如此，使用GET的風險如下：
安全性問題
機密資訊為何不宜用GET，是因為由GET方法提交的表單會將欄位的key,value顯示於URL上，想像一下如果小明借用你的電腦，查看你的網頁歷史紀錄時就可以看到你的帳密了，多可怕！
再來就是如果
嘿，大家新年快樂~ 新年大家都在做什麼呢？
跨年夜的我趕工製作某個外包設計案，在工作告一段落時趕上倒數。
然後和兩個小孩過了一個忙亂的元旦。在深夜時刻，看到朋友傳來的解籤網站，興致勃勃熬夜體驗了一下，覺得非常好玩，或許有人玩過了，但還是想寫上來分享紀錄一下~
今天寫文章來學習什麼是「第一方 Cookies」。
## 1. Cookie在LinkedIn廣告中的角色
根據Linkedin的文章[1]，
Cookie 是被設置在網站訪問者的 Web瀏覽器上，
可以幫助 Linkedin 確定廣告被展示給哪些成員，
是衡量廣告效果，改
(1) 收集用戶名單，例如 Email 和手機，未來可做廣告受眾再行銷，例如 FB 廣告、GDN 廣告、Email發送。
(2) 在網站追蹤中，用 GTM 實施「增強型轉換」，讓每一個轉換數據發送時都帶有第一方數據，能讓轉換追蹤更精準，減少受 Cookie 政策的影響。
(3)
在今天的數字世界中，網站安全性是極為重要的議題。隨著越來越多的網站選擇採用HTTPS協議加密數據傳輸，但這並不意味著它是絕對安全的。事實上，HTTPS本身也存在著一些安全隱患，這些隱患可能會影響網站的安全性和用戶的數據隱私。
1. SSL/TLS 憑證漏洞
HTTPS的加密基於SSL/TLS
戴夫寇爾研究團隊發現PHP在Windows系統上存在遠端程式碼執行漏洞，影響多個PHP版本，包括XAMPP預設安裝環境。漏洞源於字元編碼轉換的問題，允許攻擊者在遠端伺服器上執行任意程式碼。建議使用者立即升級至最新PHP版本，或採取臨時緩解措施。
在瀏覽器環境中有許多的儲存空間，想要查看這些空間的話，可以透過「chrome > Dev Tools > Application > Storage」即能進行查看。
瀏覽器內存空間的差異不僅常常被拿來被當作面試考題，在實務開發中更扮演舉足輕重的角色，今天就想透過這系列的文章深度了解這些瀏覽器內存⋯
前言
這篇文章分享cookie、sessionStorage、localStorage、session的差異，因為前後端溝通常用的就這幾個，我比較常用的是cookie或session，但也是有可能會用到sessionStorage或localStorage的時候，因此想說這邊做個紀錄比較他們的差別
在開發前後端分離架構時，使用兩個不同網域所遇到跨域請求問題。特別是在POST請求時行為差異大，揭示了「簡單請求」與「預檢請求」的關鍵差異。簡單請求不需預檢，但application/json會觸發預檢請求，需透過特定設定解決。分享這篇文章希望幫助開發者有效處理跨域問題。
描述我所瞭解的 Web 攻擊技術
何謂網路攻擊？
駭客透過各種系統漏洞或惡意程式，搭配許多技術和工具進行攻擊。目標是要在企業或個人電腦網路中損害、取得控制權或存取重要的文件和系統。
例如：
XSS（Cross-Site Scripting，跨站腳本攻擊/跨網站指令碼）：指網路罪犯透過存在安全
發送表單用get跟post看起來好像都無所謂，然而事實並非如此，使用GET的風險如下：
安全性問題
機密資訊為何不宜用GET，是因為由GET方法提交的表單會將欄位的key,value顯示於URL上，想像一下如果小明借用你的電腦，查看你的網頁歷史紀錄時就可以看到你的帳密了，多可怕！
再來就是如果